КиберосноваSGRC
BDU:2026-12733
Высокий

BDU:2026-12733: Уязвимость функции opinfo_add() модуля fs/smb/server/oplock.c подсистемы Smb ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

CVSS v38.8
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-12733

Описание

Уязвимость функции opinfo_add() модуля fs/smb/server/oplock.c подсистемы Smb ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Что делать с BDU:2026-12733

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
8.8Высокий
Пересчитать →
v2
9.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-362
CWE-416
CWE-667

CVE — международный идентификатор

CVE-2026-43376
CWE-362
Состояние гонки

CWE-362 — состояние гонки: между проверкой и изменением общего ресурса возникает окно для вмешательства. Дефект встречается в многопоточном коде на C и Java, где проверка состояния и его изменение разнесены по шагам — например, при создании файла. Злоумышленник, подстроив запросы под момент проверки, получает повышение привилегий или отказ в обслуживании.

Как атакуют и что делать ▾

Сценарий атаки

Два потока одновременно обращаются к общему ресурсу. TOCTOU: проверка прав → пауза → операция — в паузе атакующий подменяет файл.

Последствия

Повышение привилегий, обход проверок, повреждение данных.

Рекомендации

Используйте атомарные операции, блокировки, транзакции БД. Избегайте TOCTOU-паттернов.

Тактики и техники

Манипулирование сроками и состоянием
Манипулирование структурами данных

Уязвимое ПО (7)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux13Не указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Сообщество свободного программного обеспеченияLinuxот 6.19 до 6.19.8 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.6.88 до 6.6.129 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.12.25 до 6.12.77 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.14.4 до 6.18.18 включительноНе указана

Среды функционирования (7)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux13Не указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Сообщество свободного программного обеспеченияLinuxот 6.19 до 6.19.8 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.6.88 до 6.6.129 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.12.25 до 6.12.77 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.14.4 до 6.18.18 включительноНе указана

Рекомендации по устранению

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для Linux: https://lore.kernel.org/linux-cve-announce/2026050831-CVE-2026-43376-e32d@gregkh/ https://git.kernel.org/stable/c/ce8507ee82c888126d8e7565e27c016308d24cde https://git.kernel.org/stable/c/302fef75512b2c8329a3f5efab1ae7ba2562387a https://git.kernel.org/stable/c/08aa9f3c8cf4d0bee44df540dfe34e8d64069f2c https://git.kernel.org/stable/c/1d6abf145615dbfe267ce3b0a271f95e3780e18e https://git.kernel.org/linus/1dfd062caa165ec9d7ee0823087930f3ab8a6294 Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2026-43376 Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/ Для Ред ОС: http://repo.red-soft.ru/redos/8.0/aarch64/updates/ Для ОС Astra Linux: обновить пакет linux-6.12 до 6.12.95-1.astra1+ci5r33 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-1029SE18

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-03-07

Опубликована

2026-08-27

Обновлена

2026-11-10

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-43376 MITRE: CWE-362 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Критический
9.2

Уязвимость алгоритма сжатия данных Brotli программной платформы Node.js, позволяющая нарушителю выполнить произвольный к

 
Средний
7.8

Уязвимость функции skb_zerocopy() модуля net/core/skbuff.c ядра операционной системы Linux, позволяющая нарушителю повыс

 
Критический
9.2

Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяю

 
Критический
9.2

Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю вып

 
Средний
8.8

Уязвимость модуля vmwgfx ядра операционной системы Linux, позволяющая нарушителю повысить свои привилегии

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0